Zum Hauptinhalt springen

SEW Gateway

Die SEW OrchestrationSuite, erreichbar unter https://sew.eu1.sdaconsole.io/, dient als zentrale Verwaltungsplattform für die Erstellung und Verwaltung Ihrer industriellen Konnektivitätsinfrastruktur. Nach Abschluss des Onboarding-Prozesses für Ihr Tenant-Konto können Sie mit der Konfiguration Ihrer Netzwerktopologie beginnen, indem Sie Gateways erstellen und Industriegeräte verknüpfen.

Der Einrichtungsprozess umfasst zwei wesentliche Schritte: Zunächst wird ein Konnektivitäts-Gateway deklariert, das als sichere Brücke zwischen Ihrem Industrienetzwerk und den SEW Cloud Services fungiert. Anschließend werden die Industriegeräte (wie PLCs, HMIs und Roboter), auf die das Gateway Zugriff bereitstellt, erstellt und verknüpft.

Weiterführende Informationen zu SEW Gateways​

Das SEW Gateway spielt in jedem Quartalsrelease eine zentrale Rolle und dient als sichere Brücke zwischen lokalen Industrienetzwerken und der SEW Cloud-Plattform. Weitere Details dazu, wie sich das Gateway in das Gesamtsystemdesign und die Einrichtung einfügt, finden Sie in den folgenden Informationen

Überblick​

Sicherer Konnektivitätsdienst für die Industrie, der Produktionsnetzwerke über verschlüsselte VPN-Tunnel mit Cloud-Diensten verbindet. Der SEW Connectivity Service basiert auf dem SDA Glue, der Anwendung für Gateways, die für Linux- und Windows-Hosts verfügbar ist. Der Dienst wird von SoftEther VPN betrieben, das OpenVPN auf Windows-Clients unterstützt und einen sicheren TCP-Tunnel zwischen einer Netzwerkschnittstelle im Gateway und den SEW Cloud Services wie IDEaaS, Backup- und Deployment-VMs aufbaut.

Darüber hinaus kombiniert er die betriebssystemeigenen Firewalls (Linux iptables und Windows Filtering Platform (WFP)) mit einer NAT-Tabelle, um herstellerspezifische Software wie Siemens TIA Portal und Rockwell Studio 5000 direkt mit dem Gerät in der Steuerungsebene der Produktion zu verbinden.

Kernpunkte​

Die Verwaltung industrieller Assets mit SEW basiert auf einer umfassenden und sicheren industriellen Konnektivitätslösung, die die Lücke zwischen Produktionsumgebungen und cloudbasierten Diensten schließt. Durch den Einsatz bewährter Technologien und die Umsetzung robuster Sicherheitsmaßnahmen bietet der Dienst Konnektivität auf Enterprise-Niveau, die speziell auf industrielle Automatisierungs- und Steuerungssysteme zugeschnitten ist.

Sicherheit auf Industrieniveau​

  • Die Integration mit AWS IoT Core ermöglicht sichere TLS-Verbindungen mit fein granularen Zugriffskontrollrichtlinien.
  • Folgt Best Practices für die Sicherheit im industriellen IoT und erlaubt Administratoren, den Zugriff basierend auf Geräteeigenschaften und Kontext einzuschränken.

Bewährte VPN-Grundlage​

  • Nutzt SoftEther VPN, das AES-256-Bit- und RSA-4096-Bit-Verschlüsselung mit hoher Durchsatzleistung sowie geringem Speicher- und CPU-Verbrauch bietet.
  • Stellt sicher, dass Daten während der Übertragung vor Abhören und unbefugtem Zugriff geschützt bleiben – ideal für industrielle Anwendungen, in denen Sicherheit und Leistung entscheidend sind.

Zero-Trust-Netzwerkzugriff​

  • Beseitigt die Notwendigkeit traditioneller statischer VPNs, indem Verbindungen bedarfsgerecht aufgebaut werden.
  • Diese Point-to-Point-Architektur stellt sicher, dass Benutzer nur auf explizit autorisierte Geräte und nicht auf ganze Netzwerksegmente zugreifen können, wodurch die Angriffsfläche erheblich reduziert wird.

Fabrikfreundliches Design​

  • Alle Verbindungen werden vom Gateway nach außen initiiert, sodass keine eingehenden Firewall-Regeln in der Produktionsumgebung erforderlich sind.
  • Dieses Design respektiert bestehende industrielle Sicherheitsarchitekturen und stellt gleichzeitig sichere Fernzugriffsmöglichkeiten bereit.

Architektur​

Die Teilnehmer in einem virtuellen Netzwerk werden als Nodes bezeichnet und sind die Hauptkomponenten des Connectivity Service.
Jede Verbindung entsteht aus dem Zusammenspiel einer Kette von Nodes, von denen jeder eine spezifische Rolle einnimmt.

Devices​

Industrielle Assets, die sich in der Regel im gesicherten Produktionsnetzwerk befinden und über ihre IP-Adresse erreichbar sind (z. B. PLCs, HMIs, Roboter).

  • Devices werden in der SEW OrchestrationSuite für jeden Tenant deklariert, und der Benutzerzugriff wird über Role-Based Access Control (RBAC) verwaltet.
  • Für die Konnektivität muss jedes Device mit mindestens einem Netzwerk-Gateway verknüpft sein.

Gateways​

Netzwerk-Hosts mit sicherem Zugang zum Internet und zu den in der SEW OrchestrationSuite verwalteten Devices.

  • Typischerweise IPCs, VMs, Container oder Raspberry Pis, die sich in einer Firewall-Zone befinden, welche spezifische Regeln für den Zugriff auf SEW Cloud-Ressourcen wie Tenant Server erfordert.
  • Auf jedem Gateway läuft der SDA Glue, ein Betriebssystemdienst, der auf Verbindungsanfragen lauscht und Telemetriedaten bereitstellt.

Tenant Server​

Bastion-Hosts, die in einer sicheren SEW Cloud-Umgebung betrieben werden und für jeden Tenant dediziert sind.

  • Verbinden die Netzwerkschnittstelle des Gateways mit einer SEW Service-VM oder einem anderen Gateway.
  • Gewährleisten die erforderlichen Filterrichtlinien, um ausschließlich Point-to-Point-Verbindungen sicherzustellen (z. B. von IDEaaS zu einer bestimmten PLC und nicht zu anderen Geräten im gleichen Netzwerk).
  • Authentifizieren den Zugriff von Gateways auf Basis einer Richtlinie zur Rotation der Zugangsdaten für jede Verbindung.

Service-VMs​

Betreiben die von SEW Services benötigten Anwendungen wie IDEaaS, Backup- und Deployment-Pipelines.

  • Diese VMs nutzen den Connectivity Service, um auf Devices auf der Netzwerkebene über ihre IP-Adresse zuzugreifen, was für industrielle Anwendungen essenziell ist.

Cloud​

Anstatt traditionelle statische VPNs zu verwenden, baut der SEW Connectivity Service Verbindungen zu industriellen Assets auf Anfrage auf. Diese Anfragen werden an eine Kette von Nodes weitergeleitet, die zusammenarbeiten, um Point-to-Point-Netzwerkzugriff zwischen SEW Services und Devices bereitzustellen.

Für das Produktionsnetzwerk werden alle Verbindungen vom Gateway initiiert, sodass keine Regeln für eingehende Verbindungen in der Fabrik erforderlich sind. Dazu lauschen die Nodes permanent auf einem IoT-Message-Broker, betrieben von AWS IoT Core, auf eingehende Anfragen.

Diese Architektur ermöglicht es Benutzern, von jedem Ort mit Internetzugang und von jedem Computer aus – lediglich abhängig von einem Browser – mit Assets in der Fabrik zu interagieren.

Netzwerk​

Das Gateway ist ein Edge-Gerät zwischen einer Steuerungsebene der Produktion und dem Internet, das den SEW Services kontrollierten Zugriff auf die in der Console definierten Assets bereitstellt.
Es ist wichtig, eine Architektur zu etablieren, die die SEW Cloud sicher mit der lokalen Infrastruktur verbindet.

Wir empfehlen eine der beiden folgenden vorgeschlagenen Setups für das Gateway:

Gateway im LAN​

Dies ist der häufigste Ansatz, bei dem das Gateway direkt neben den PLCs platziert wird, die auf der SEW Plattform onboarded werden.

  • Eine Firewall kontrolliert ausgehende Verbindungen vom Gateway ins Internet streng.
  • Das Gateway hat Zugriff auf das Subnetz, in dem es sich befindet; im Router des Netzwerks kann jedoch eine Firewall als Access Control Layer (ACL) bereitgestellt werden.
  • Häufig wird ein Gateway-Gerät mit zwei Netzwerkschnittstellen verwendet: eine zur DMZ und eine zur Steuerungsebene.
  • Diese Architektur erlaubt wiederkehrende IP-Zonen (z. B. beide mit dem Subnetz 10.0.0.0/24).

Gateway in der DMZ​

Dieser Ansatz wird häufig verwendet, wenn das Gateway in einer dedizierten virtuellen Maschine innerhalb der Serverinfrastruktur betrieben wird.

  • Das IT-Team stellt spezielle Routen zwischen der VM und den Ziel-PLCs in der Steuerungsebene bereit, wobei sowohl auf den Internet- als auch auf den OT-Zugriffspfaden wahrscheinlich Firewalls vorhanden sind.
  • Auf dem Weg zu den PLCs kann eine Network Address Translation (NAT) vorliegen.
    • Achtung: Manche herstellerspezifische PLC-Software ist möglicherweise nicht mit IP-Aliasing kompatibel und muss über die im Projekt konfigurierte IP verbinden.
  • Jede PLC in der Produktionseinheit muss eine eindeutige IP-Adresse besitzen, um Kollisionen zu vermeiden.
  • Abhängig von der Netzwerkinfrastruktur funktioniert der Layer-2-Zugriff von Gateways zu PLCs möglicherweise nicht – dies ist ein kommendes Feature für die Integration echtzeitfähiger Industrienetzwerke in SEW Services.

Software​

Der SDA Glue ist eine Anwendung, die als Betriebssystemdienst läuft und mit automatischem Start und Neustart im Fehlerfall eine hohe Verfügbarkeit des Gateways sicherstellt.

Um die Netzwerktunnel durch Verwaltung von Netzwerkressourcen wie Schnittstellen, Routen und Firewall-Regeln aufzubauen, benötigt er erhöhte Rechte als Systembenutzer.

Auto-Updates​

Auto-Updates sind standardmäßig deaktiviert und sollten entweder in der SEW OrchestrationSuite im Bereich der Gateway-Konfigurationen oder über die CLI des Geräts aktiviert werden:

sdaglue config set --update.auto true

Der Glue-Dienst liest die neueste stabile Version von repository.eu1.sdaconsole.io und wendet das Update an, sobald keine aktiven Verbindungen bestehen.

Der Update-Mechanismus:

  • Lädt das neue Anwendungs-Binary herunter
  • Ersetzt damit das alte
  • Startet den Dienst neu

AWS IoT Core-Verbindung​

AWS IoT Core wird während der Anmeldung über den Endpunkt iot.eu1.sdaconsole.io verbunden.

Nach der Verbindung wird der Glue-Dienst:

  • Permanent auf Anfragen aus der SEW Cloud lauschen
  • Telemetriedaten veröffentlichen, wie den Status der mit dem Gateway verknüpften Devices

Die IoT-Authentifizierung wird geschützt durch:

  • Eine kurze ID und ein Einmalpasswort (OTP), die aus der SEW OrchestrationSuite abgerufen werden
  • Einen geheimen Schlüssel, der im Anwendungs-Binary eingebettet ist

Die Verbindung zu IoT kann konfiguriert werden für:

  • MQTT SSL oder
  • WebSocket Secure, jeweils über Port 443

Plattformunterschiede​

Die Netzwerkmechanismen unterscheiden sich zwischen Linux und Windows.
Daher werden sie separat beschrieben.

Linux​

SDA Glue unter Linux basiert auf dem SoftEther VPN Client, der Open Source ist (Apache License 2.0) und während der Glue-Installation vom SEW-Mirror auf repository.eu1.sdaconsole.io installiert wird.

Für jede Verbindung:

  • Glue verwendet den SoftEther Client, um eine NIC-Netzwerkschnittstelle zu erstellen und mit dem Tenant Server zu verbinden.
  • Es nutzt Linux IP-Tools, um dieser Schnittstelle eine IP-Adresse zuzuweisen und die erforderlichen Routen zwischen der Service-VM und dem Ziel-Device zu erstellen.

Interne Firewall-Regeln und NAT-Übersetzungen werden in iptables erstellt, welche:

  • Keine eingehenden Netzwerkpakete an das Gateway zulassen
  • Pakete ausschließlich an das Ziel-Device weiterleiten

Windows​

SDA Glue unter Windows unterstützt die eingebettete Nutzung des SoftEther VPN Client nicht.
Daher wird der OpenVPN Community Open-Source Client (GPL-Lizenz Version 2) verwendet, der während der Glue-Installation vom SEW-Mirror auf repository.eu1.sdaconsole.io installiert wird.

Für jede Verbindung:

  • Glue verwendet den OpenVPN TAP-Treiber, um eine Netzwerkschnittstelle zu erstellen und diese mittels zertifikatsbasierter Authentifizierung mit dem Tenant Server zu verbinden.
  • Es nutzt die native Windows-API, um der Schnittstelle eine IP zuzuweisen und die erforderlichen Routen zwischen der Service-VM und dem Ziel-Device zu erstellen.

Glue verwendet außerdem die Windows Filtering Platform (WFP), um dedizierte Layer und Firewall-Regeln zu erstellen.
Für die Deklaration der Adressübersetzung zwischen Service-VM und Device ist es jedoch auf WinNAT (bzw. NetNat) angewiesen, das möglicherweise nicht standardmäßig aktiviert ist.

Zusammenfassung ​

Der SEW Connectivity Service bietet eine ausgereifte, sichere und skalierbare Lösung für Herausforderungen der industriellen Konnektivität.

Durch die Kombination bewährter Open-Source-Technologien wie SoftEther VPN mit Cloud-Infrastruktur auf Enterprise-Niveau von AWS IoT Core bietet der Dienst die Zuverlässigkeit und Sicherheit, die industrielle Betriebe erfordern, und gleichzeitig die Flexibilität und Benutzerfreundlichkeit, die moderne Engineering-Teams erwarten.

Die Architektur des Dienstes respektiert industrielle Sicherheitsprinzipien und ermöglicht zugleich Initiativen der digitalen Transformation, die Folgendes vorantreiben:

  • Operative Effizienz
  • Zusammenarbeit über Distanz
  • Datengetriebene Entscheidungsfindung

Für Organisationen, die ihre industriellen Assets sicher mit Cloud-Diensten verbinden möchten, ohne Kompromisse bei Netzwerksicherheit oder Betriebszuverlässigkeit einzugehen, bietet der SEW Connectivity Service eine umfassende, produktionsreife Lösung.